Företaget påförs en påföljdsavgift för dataskyddsförseelse i samband med parkeringsövervakningsavgifter

Påföljdskollegiet vid dataombudsmannens byrå påförde Parkkipate Oy en administrativ påföljdsavgift den 21 april för behandling av personuppgifter i strid med dataskyddslagstiftningen. Överträdelserna handlar bland annat om överträdelse av den registrerades rättigheter, brister i begränsningen av lagringstiden för uppgifterna och förfaranden för identifiering av de registrerade.

Dataombudsmannens byrå har fått flera klagomål om den personuppgiftsansvariges verksamhet. De personer som klagat hos Dataombudsmannens byrå har bett den personuppgiftsansvarige information om bland annat varifrån deras personuppgifter har inhämtats och på vilken grund personuppgifterna behandlas. Dessutom har sökandena begärt att få tillgång till de egna uppgifterna eller att uppgifterna raderas.

Den personuppgiftsansvarige har vägrat att lämna ut uppgifter innan sökandens identitet har säkerställts. För identifiering har den personuppgiftsansvarige begärt att sökanden uppger bland annat sin personbeteckning och adress. Den personuppgiftsansvarige anser att namnet och ärendenumret på övervakningsavgiften inte räcker till för att hitta rätt parkeringsövervakningsavgift. 

Uppgifter får inte samlas in i större utsträckning än vad som är nödvändigt för att identifiera den registrerade

Om den personuppgiftsansvarige har rimliga skäl att betvivla identiteten hos den person som lämnar in en begäran, kan den begära ytterligare information för att bekräfta identiteten. Enligt principen om uppgiftsminimering får uppgifter dock inte begäras i större utsträckning än vad som är nödvändigt för identifiering.

Den personuppgiftsansvarige har regelmässigt krävt att alla som har velat utöva sina dataskyddsrättigheter uppger sin personbeteckning. Den personuppgiftsansvarige har dock inte registrerat personbeteckningarna från början, så den kan inte ha kunnat jämföra den registrerades personbeteckning med befintliga uppgifter.

Dataombudsmannen anser att den personuppgiftsansvarige har agerat i strid med dataskyddsförordningen genom att behandla personuppgifter i större utsträckningen är vad som är nödvändigt för identifiering. Det har heller inte lagts fram några omständigheter som skulle visa att den personuppgiftsansvarige har rimliga skäl att betvivla sökandens identitet. Den personuppgiftsansvarige borde alltså ha tillgodosett de registrerades begäran få tillgång till uppgifterna.

Lagringstiden för uppgifterna måste vara begränsad och de registrerade ska informeras om den

I sin utredning hade den personuppgiftsansvarige berättat att den fotograferar fordonen och förvarar fotografierna och kopiorna av övervakningsavgiftsblanketterna i bokföringssyfte. Den personuppgiftsansvarige har ansett till exempel att skyldigheterna enligt bokföringslagen och eventuella kommande ytterligare rättsliga åtgärder har förhindrat att uppgifterna raderas.

Dataombudsmannen konstaterar att bilderna på fordonen eller övervakningsavgiftsblanketterna inte är sådana uppgifter om verifikat som enligt bokföringslagen ska förvaras under den tid som fastställs i bokföringslagen.

Uppgifter kan heller inte förvaras under en ospecificerad tid på grund av att den personuppgiftsansvarige eventuellt i framtiden bestämmer om att ta ärendet till en domstol. Lagringstiden för personuppgifterna eller de kriterier som används för att fastställa denna tid ska enligt dataskyddsförordningen definieras och lagringstiden ska vara så kort som möjligt.

Brister upptäcktes även i de sätt som den personuppgiftsansvarige informerar de registrerade om behandlingen av personuppgifter.

Företaget påfördes en påföljdsavgift för överträdelse av dataskyddslagstiftningen

Dataombudsmannen anser att företagets verksamhet handlar om regelmässig överträdelse av den allmänna dataskyddsförordningen. Dataombudsmannen gav den personuppgiftsansvarige en anmärkning om behandlingen av personuppgifter i strid med den allmänna dataskyddsförordningen och förordnade den personuppgiftsansvarige att ändra sitt förfarande så att det blir förenligt med lagen.
Påföljdskollegiet vid dataombudsmannens byrå påförde företaget en påföljdsavgift på 75 000 euro.
Dataombudsmannens och påföljdskollegiets beslut kan överklagas hos förvaltningsdomstolen, och de har ännu inte vunnit laga kraft.

Påföljdskollegiets beslut (i Finlex, på finska)

Dataombudsmannens beslut i Finlex (på finska)

Mer information:

dataombudsman Anu Talus, anu.talus(at)om.fi, tfn 029 566 6766

Bestämmelser om påföljdskollegiets beslutsfattande och de personuppgiftsansvarigas rättsskydd finns i den nationella dataskyddslagen. Påföljdskollegiet bildas av dataombudsmannen och två biträdande dataombudsmän. Kollegiet är behörigt att påföra administrativa påföljdsavgifter för brott mot dataskyddslagstiftningen. Påföljdsavgifternas maximala belopp får vara fyra procent av företagets omsättning eller 20 miljoner euro.